前言
今天看了南阳理工学院的IPv6部署实践文章，其中重点提到了部署DNS的问题。恰巧这些天，老赵在和金融、公安、DNS服务商的一些朋友在讨论IPv6网络环境下的DNS安全问题，一篇文章写了一半，还不太成熟，先发出来，抛砖引玉，欢迎大家多提宝贵意见。
IPv6网络中递归DNS的风险分析
DNS（Domain Name System ）域名系统是支撑互联网运行的重要核心基础设施，因此DNS系统也成为互联网攻击的最主要目标。DNS安全意义重大，一旦发生重大DNS攻击事件，将可能会影响大范围互联网的正常运行，并给社会带来巨大经济损失。
随着中国推进IPv6规模部署行动计划快速实施，中国三大电信运营商的固定和4G LTE网络已经大范围部署IPv6协议，随着一批TOP ICP网站和APP支持IPv6协议，目前中国已经有超过5亿用户获得IPv6地址，开始使用IPv6网络服务。中国互联网正在向IPv6时代全面演进。在这个阶段，必须要高度重视DNS安全问题。
1、递归DNS的运行机制
DNS系统可以分为：根DNS服务器、顶级域名DNS服务器（TLD）、权威DNS服务器、递归DNS服务器等几类。
用户访问互联网，第一步需要向本地递归DNS申请域名解析。递归DNS查询缓存或向上一级DNS进行递归，获得域名解析结果并返回给用户，然后用户浏览器就可以访问目标网站和网页。从互联网DNS体系架构来看，递归DNS是一个综合体系，包含多个层级。用户向低级递归DNS查询，低级向高级递归DNS查询，高级递归DNS向根DNS、顶级域名DNS、权威DNS服务器查询，这样一级一级递归查询。权威DNS解析出来域名的IP地址再一级一级返回，最后发给用户主机。
递归DNS在日志里面将会记录用户的DNS查询记录，包括用户主机的源IP地址、目标网站、查询时间、返回DNS查询结果（目标网站的IP地址）等等。
2、IPv6 与IPv4环境下递归DNS运行机制的差异及风险
IPv6网络环境下，DNS的运行机制与IPv4网络环境下存在一些差异。
由于IPv4地址资源缺乏，所以IPv4网络通常会在出口部署NAT设备，内网主机向递归DNS申请域名解析申请时，递归DNS收到的是NAT设备IP地址，无法获得用户主机的IP地址。
IPv6协议提供了海量IP地址资源，所有用户主机/联网终端都配置真实IPv6地址。IPv6主机（或联网终端）使用真实IPv6地址向递归DNS发起域名解析申请，递归DNS服务器向用户主机返回域名解析结果，并在日志中记录用户的真实IPv6地址。
互联网IP地址扫描探测是黑客常用的攻击手段。由于IPv6协议设计有海量地址，原有IPv4地址段扫描的探测方式在IPv6网络上基本失效，所以黑客需要获得用户的真实IPv6地址，就需要找到一个拥有大量用户真实IPv6地址记录的系统，入侵破解之后获取用户IP地址数据。而递归DNS服务器恰恰能够满足黑客的探测需求，无论是内网递归DNS系统，还是公共递归DNS系统，在DNS日志文件里面都记录了海量用户的真实IPv6地址与域名解析记录。
3、IPv6网络环境中窃取将成为递归DNS重要攻击方式
对递归DNS系统的攻击，主要包括破坏、投毒、窃取三种方式。
IPv4时代对DNS的攻击以破坏为主，包括DDOS攻击等，目的是造成DNS服务停止。这种攻击发生后很快就会被发现，并在12-24小时内修复。
DNS缓存投毒是指递归DNS向上级DNS申请查询，攻击者仿冒上级DNS服务器向递归DNS 服务器发送伪造应答包抢先完成应答，用虚假数据污染递归DNS 缓存首选dns的服务器地址是多少，从而使递归DNS向用户主机返回错误的解析IP结果，将用户访问重定向到危险网站。
进入IPv6时代，由于获取用户真实IPv6地址变得困难，因此窃取将成为递归DNS攻击的重要方式。黑客入侵DNS后，不干扰DNS正常运行，而是长期潜伏起来，持续窃取DNS服务器的日志数据，从日志数据中即时获取海量用户的真实IPv6地址，并作为网络探测的目标。
如果黑客入侵并攻破校园网、政务网，企业网的递归DNS服务器，以及公共DNS服务商的递归DNS系统首选dns的服务器地址是多少，就可以获取DNS日志并抓取大量新鲜有效的用户IPv6地址，以进行精准IPv6地址扫描探测。潜伏窃取是静默无声并且长期的，其带来的风险要远远大于DDOS攻击破坏和DNS缓存投毒。
目前很多园区网、企业网的DNS服务器安全防护薄弱，随着用户网络IPv6升级和DNS系统IPv6升级，将可能成为黑客重点攻击目标。
4、IPv6网络随意配置和使用公共DNS的风险
限 时 特 惠： 本站每日持续更新海量各大内部创业教程，一年会员只需98元，全站资源免费下载 点击查看详情
站 长 微 信： muyang-0410
